前言：为什么要开启外部控制器？
Clash Verge Rev 的外部控制器（External Controller）是一项用于远程管理 Clash 内核的接口功能。开启后，Web 面板或其他管理工具可以通过指定的地址和端口读取运行状态、切换代理节点、查看连接记录，以及修改部分运行参数。对于需要频繁管理策略组、排查连接问题，或希望在浏览器中使用控制面板的 Windows 用户来说，这项功能非常实用。
不过，外部控制器并不是普通的网页服务。它通常具备切换节点、查看代理连接甚至执行运行时操作的权限。如果监听地址设置为 0.0.0.0，接口可能会暴露给同一局域网内的其他设备；如果没有设置密钥，任何能够访问该端口的程序都可能尝试连接。因此，正确的做法不是简单地“打开端口”，而是同时配置监听地址、端口、密钥和访问范围。
本文目标
在 Windows 的 Clash Verge Rev 中开启外部控制器，使用本机 Web 面板完成连接测试，并通过本机监听、强密钥和防火墙检查降低接口暴露风险。
1开启前的准备与参数说明
开始配置前，请先确认 Clash Verge Rev 已经正常启动，并且至少导入了一份可以运行的配置文件。外部控制器属于内核运行参数，如果内核没有启动，即使界面中保存了相关设置，Web 面板也可能无法连接。建议先在客户端中确认代理状态正常，再进行控制器配置。
Windows 用户还需要注意软件版本和内核类型。Clash Verge Rev 常见版本会搭配 Mihomo 内核，菜单名称可能因版本、主题或汉化情况略有不同，例如“设置”“常规设置”“外部控制器”“External Controller”或“Web 控制器”。找不到完全相同的文字时，可以在设置页面使用搜索功能，或者展开网络、内核相关的高级选项。
| 参数 | 推荐值 | 作用与注意事项 |
|---|---|---|
| 监听地址 | 127.0.0.1 |
仅允许本机访问，适合在 Windows 上使用本地 Web 面板。 |
| 监听端口 | 9090 或自定义高位端口 |
用于接收控制器请求，必须避免与其他软件端口冲突。 |
| 密钥 | 随机长字符串 | 用于验证访问者身份，不建议留空，也不要使用简单密码。 |
| 外部访问 | 默认关闭 | 除非确有跨设备管理需求，否则不要监听在所有网卡上。 |
安全提醒
不要把控制器端口、密钥或完整的控制面板地址发布到群聊、截图和公开日志中。控制器密钥的敏感程度接近管理密码，泄露后应立即更换。
2在 Clash Verge Rev 中开启外部控制器
打开 Clash Verge Rev 主界面，在左侧或顶部进入设置，然后查找与“外部控制器”或“External Controller”相关的选项。部分版本会将它放在“常规”页面，部分版本则需要先打开“高级设置”。配置时请按照下面的顺序填写，避免只打开开关却忘记保存端口或密钥。
- 启用控制器：打开“外部控制器”开关。如果界面同时显示“控制器地址”或“API 地址”，它们指向的就是内核管理接口。
- 填写监听地址：优先输入
127.0.0.1。该地址代表本机回环接口，其他电脑和手机无法直接访问，适合绝大多数个人用户。 - 设置端口：可以使用
9090，也可以改成未被占用的端口，例如19090。端口只允许使用数字，建议避开系统常见服务端口。 - 设置密钥：在 Secret、Token 或密钥输入框中填入随机字符串。建议至少包含大小写字母、数字和特殊字符，并避免使用 Clash、admin、123456 等容易猜到的内容。
- 保存并重启内核：点击保存后，如果客户端提示重启内核或重新加载配置，请确认执行。只有新参数真正传递给内核，控制器端口才会开始监听。
本机 Web 面板使用场景可以参考以下参数：
这里的 External Controller 是地址与端口的组合，Secret 是访问验证密钥。不同版本的字段名称可能不同，但含义基本一致。
需要通过局域网访问时怎么设置？
如果你希望用同一 Wi-Fi 下的手机或另一台电脑管理 Clash，才需要考虑局域网访问。此时可以将监听地址改为 0.0.0.0，或者选择客户端提供的“允许局域网连接”选项。这样做会让控制器绑定到更多网络接口，必须同时设置强密钥，并在 Windows 防火墙中限制允许访问的网络范围。
不建议直接把控制器端口映射到公网，也不要为了“远程管理方便”而在路由器上设置端口转发。若确实需要异地管理，应优先使用可信的 VPN 或安全的内网组网方式，并通过防火墙限制来源地址，而不是裸露一个没有额外保护的 HTTP 管理端口。
3通过配置文件理解 external-controller
Clash Verge Rev 的图形界面最终会把参数传递给 Clash 或 Mihomo 内核。了解配置文件中的字段，有助于排查界面保存失败、端口冲突或内核重载后设置消失等问题。常见配置结构如下：
external-controller 决定控制器的监听地址和端口；secret 决定 API 请求是否需要密钥验证。请注意，Clash Verge Rev 中的订阅配置、Merge 配置和内核实际运行配置并不一定是同一个文件。直接修改订阅文件，可能会在下一次更新订阅时被覆盖；直接修改缓存文件，也可能在客户端重启后失效。
更稳妥的方式是优先使用客户端设置页面。如果你的版本支持配置合并、脚本或固定配置文件，再根据该版本的文档选择合适位置。修改后要重新加载配置，并在日志中确认内核成功启动。若日志出现端口已被占用、配置字段错误或无法解析 YAML 等提示，应先恢复到上一次可用配置，再逐项修改。
配置文件排错技巧
YAML 对缩进和冒号非常敏感。字段应放在顶层，不能误缩进到 dns、proxy-groups 或其他模块下；密钥包含特殊字符时，建议用英文双引号包裹，并避免在字符串中加入不必要的空格。
4连接 Web 面板并完成测试
保存配置并确认内核运行后，可以使用兼容的 Clash Web 面板进行连接测试。打开面板时，通常需要填写控制器地址和密钥。对于本机配置，地址一般为：
如果面板要求单独填写 Host、Port 和 Secret，则 Host 填写 127.0.0.1，Port 填写 9090，Secret 填写你刚才设置的密钥。连接成功后，通常可以看到当前模式、代理组、节点列表、运行流量和活动连接等信息。尝试切换一个策略组节点，再回到 Clash Verge Rev 检查状态是否同步，这可以验证控制器确实具备管理权限。
Windows 命令行检查端口
如果浏览器无法打开面板，不要立刻判断是密钥错误，可以先检查端口是否正在监听。按下 Win + R，输入 cmd 后执行：
如果看到类似 127.0.0.1:9090 且状态为 LISTENING，说明端口已经被某个进程监听。若完全没有输出，通常表示内核没有成功启动、端口填写错误，或设置尚未应用。若显示的是其他程序占用了端口，可以回到设置页面改用 19090 等未占用端口。
常见连接失败原因
- 401 或 Unauthorized：控制器地址正确，但密钥为空、输入错误，或面板仍保存着旧密钥。清除面板缓存后重新填写。
- Connection refused：目标端口没有监听，重点检查内核状态、端口号和是否需要重启内核。
- 页面一直加载：可能打开了不兼容的面板，或面板使用了错误的 API 路径。更换兼容 Mihomo 的面板进行测试。
- 局域网设备无法连接：如果地址仍是
127.0.0.1，其他设备无法访问，这是正常的。需要明确开启局域网监听，并检查 Windows 防火墙规则。
5Windows 安全加固与日常维护
外部控制器配置完成后，建议再进行一次安全检查。首先确认你是否真的需要局域网访问。如果只在本机使用 Web 面板，监听地址应保持 127.0.0.1，并关闭“允许局域网连接”。本机回环地址不会让接口直接暴露给同一网络中的其他设备，是最简单有效的安全措施。
其次，密钥不要重复用于订阅服务、邮箱或其他账户。建议使用密码管理器生成并保存一组独立密钥；如果曾经把密钥发给他人、上传到截图或粘贴到公开代码仓库，应立即更换。更换密钥后，所有已经连接的 Web 面板都需要重新认证。
如果必须开放局域网访问，请在 Windows Defender 防火墙中创建严格规则，只允许可信的专用网络访问该端口，不要对公用网络放行。完成远程管理后，最好关闭局域网监听并删除临时防火墙规则。还应避免在咖啡店、机场或酒店等不可信 Wi-Fi 中开启这一功能。
不要暴露到公网
外部控制器并不是为直接暴露在互联网中设计的公共网站。即使配置了 Secret，也不建议通过公网 IP、路由器端口转发或未经保护的反向代理访问它。
一份可执行的检查清单
- 确认 Clash Verge Rev 和 Mihomo 内核都更新到可信来源提供的版本。
- 确认监听地址为
127.0.0.1，除非你确实需要其他设备访问。 - 确认端口未被其他程序占用，并且重启内核后仍然处于监听状态。
- 确认 Secret 不是空值、弱密码或其他服务正在使用的密码。
- 使用兼容面板完成一次读取状态和切换节点测试。
- 测试结束后关闭不必要的局域网访问，定期检查防火墙和连接日志。
总的来说，Clash Verge Rev 外部控制器的开启过程并不复杂，真正需要重视的是访问边界。对 Windows 本机用户而言，127.0.0.1 + 独立强密钥 + 不开放公网已经是一套实用的基础方案。只有在明确知道网络环境、访问设备和防火墙规则的情况下，才有必要进一步开放局域网管理。